Privacy dei minori: cosa dice la legge

Nelle guide del livello base e intermedio abbiamo visto età minime, controllo parentale e foto dei figli. Qui mettiamo in fila le regole che stanno dietro: chi può dare il consenso, cosa devono fare le piattaforme, quali diritti ha tuo figlio e come puoi esercitarli. Le norme sono citate solo dove sono verificabili, e spiegate in parole semplici.

Il consenso digitale a 14 anni

Il Regolamento europeo sulla protezione dei dati (GDPR) fissa a 16 anni l'età in cui un minore può dare da solo il consenso al trattamento dei suoi dati da parte dei servizi online, ma permette agli Stati di abbassarla fino a 13. L'Italia ha scelto 14 anni, con l'articolo 2-quinquies del Codice privacy.

• Sotto i 14 anni il trattamento basato sul consenso è lecito solo se il consenso lo dà chi esercita la responsabilità genitoriale.
• Dai 14 anni il ragazzo può dare da solo il consenso.
• Le informazioni rivolte ai minori devono essere scritte in un linguaggio chiaro, semplice e comprensibile per loro.

Attenzione a non confondere questa soglia con l'età minima scelta dalle piattaforme: molti social richiedono almeno 13 anni nei loro regolamenti. Sono due regole diverse che si sommano.

L'immagine del minore e il consenso di entrambi i genitori

Le scelte importanti sui figli spettano a entrambi i genitori, anche se separati. Nel 2026 il Garante per la protezione dei dati personali lo ha ribadito in un caso di foto pubblicate su un social da un genitore senza l'accordo dell'altro: per pubblicare immagini di figli sotto i 14 anni serve il consenso preventivo di entrambi i genitori, e avere un profilo privato non cambia questa regola.

L'intelligenza artificiale sotto i 14 anni

La legge 132 del 2025, la prima legge italiana sull'intelligenza artificiale, in vigore dal 10 ottobre 2025, ha applicato lo stesso criterio all'AI: l'accesso alle tecnologie di intelligenza artificiale da parte dei minori di 14 anni, e il relativo trattamento dei dati, richiede il consenso di chi esercita la responsabilità genitoriale. Dai 14 anni il ragazzo può prestare da solo il consenso, purché le informazioni siano facilmente comprensibili.

In pratica: chatbot, app di compiti con AI, filtri e assistenti integrati nei social. Anche i singoli servizi hanno le loro età minime, che puoi trovare nei termini d'uso. La stessa legge ha anche introdotto un nuovo reato per chi diffonde senza consenso contenuti falsificati con l'AI che causano un danno ingiusto.

Il Digital Services Act e la protezione dei minori

Il Digital Services Act (DSA) è il regolamento europeo che stabilisce le responsabilità delle piattaforme online. Il suo articolo 28 riguarda proprio i minori:

• le piattaforme accessibili ai minori devono adottare misure adeguate per garantire un elevato livello di privacy, sicurezza e protezione;
• non possono mostrare pubblicità basata sulla profilazione quando sanno con ragionevole certezza che l'utente è minorenne.

Nel luglio 2025 la Commissione europea ha pubblicato le linee guida su questo articolo. Non sono vincolanti, ma indicano cosa ci si aspetta: account dei minori privati di default, limiti ai contatti con sconosciuti, funzioni rischiose disattivate, sistemi di verifica dell'età proporzionati al rischio. Il DSA prevede anche che le grandi piattaforme offrano un feed non basato sulla profilazione.

La verifica dell'età online

Dichiarare un'età falsa al momento dell'iscrizione è facilissimo. Per questo si stanno diffondendo sistemi più seri di verifica dell'età:

• Siti per adulti: in Italia una norma del 2023, il cosiddetto decreto Caivano, ha affidato all'AGCOM (l'autorità per le comunicazioni) le regole tecniche. Con una delibera del 2025, l'AGCOM ha previsto sistemi basati sul doppio anonimato: un soggetto terzo certifica la maggiore età senza sapere quale sito visiterai, e il sito riceve solo la conferma dell'età, senza i tuoi dati. Gli obblighi sono scattati da novembre 2025 per una prima parte dei siti.
• Livello europeo: la Commissione europea ha sviluppato un'app per la verifica dell'età, pensata per dimostrare di avere l'età richiesta senza rivelare altri dati personali, e sperimentata in alcuni Paesi, tra cui l'Italia.
• Social: ad oggi in Italia non c'è una legge in vigore che vieti i social sotto una certa età. Ci sono proposte in discussione: segui le notizie da fonti ufficiali.

Il diritto all'oblio e alla cancellazione

L'articolo 17 del GDPR riconosce il diritto di ottenere la cancellazione dei propri dati in diversi casi, per esempio quando il consenso viene ritirato o quando i dati non servono più. Il GDPR sottolinea che questo diritto è particolarmente rilevante quando il consenso è stato dato da minorenni, che potevano non essere pienamente consapevoli dei rischi. Tra i casi previsti rientrano espressamente i dati raccolti dai servizi online offerti ai minori.

Un esempio concreto: un ragazzo ha pubblicato foto su un social da adolescente e anni dopo vuole farle sparire. Può chiederne la cancellazione, e se il titolare le ha rese pubbliche deve prendere misure ragionevoli per informare gli altri siti che le trattano.

Per i contenuti offensivi legati al cyberbullismo, esiste anche la procedura rapida della Legge 71/2017, che abbiamo visto nella guida sul cyberbullismo.

Come esercitare i diritti per conto di tuo figlio

Il GDPR dà a ogni persona il diritto di sapere quali dati vengono trattati, di correggerli, di farli cancellare e di opporsi a certi trattamenti. Per un figlio sotto i 14 anni li eserciti tu; dai 14 anni è meglio farlo insieme a lui.

1. Prova gli strumenti interni: molte piattaforme hanno moduli per scaricare i dati, cancellare l'account o segnalare contenuti.
2. Trova i contatti: nell'informativa privacy cerca il titolare del trattamento e, se presente, il responsabile della protezione dei dati (DPO).
3. Scrivi una richiesta chiara, conservando data e copia.
4. Attendi la risposta: il titolare deve rispondere senza ingiustificato ritardo, di norma entro un mese.
5. Se non ottieni risposta, presenta un reclamo al Garante privacy seguendo le istruzioni del suo sito.

Oggetto: Richiesta di cancellazione dei dati personali (art. 17 GDPR)

Sono [nome e cognome], genitore esercente la responsabilità
genitoriale di [nome del figlio], nato il [data].
Chiedo la cancellazione dei dati personali che lo riguardano,
in particolare: [account, foto, link precisi].
Il consenso era stato prestato quando era minorenne / non è mai
stato prestato da chi ne aveva titolo.
Vi chiedo di confermarmi l'avvenuta cancellazione e di informare
eventuali altri titolari a cui i dati sono stati comunicati.

Allego copia del mio documento d'identità.
Data e firma

Invia la richiesta solo tramite i canali ufficiali indicati nell'informativa della piattaforma, mai a indirizzi ricevuti in messaggi non richiesti.